@rt-tools/agent-kit 0.22.0 → 0.24.0

package/assets/defaults/project.sh

@@ -241,6 +241,21 @@ rt_task_branch_ok_default() {
         | grep -qE '^([A-Z]+-)?[0-9]+-[a-z0-9][a-z0-9-]*$|^(feat|fix|refactor|docs|chore|style|perf|test|build|ci)/[0-9]+-[a-z0-9][a-z0-9-]*$'
 }
 
+# Номер задачи из имени ветки. Второй вопрос к тому же имени: форма отвечает «годится ли»,
+# а это — «какой он», и свести их в одно нельзя: одна возвращает код, другой строку.
+#
+# Формы те же, что знает проверка формы выше: приставкой стоит либо ключ задач через дефис,
+# либо род правки через косую черту, либо её нет вовсе. Разойдясь с ней, разбор оставит форму
+# законной, а номер пустым — и сверка номера ветки с номером заголовка заявки пропустится молча,
+# выглядя при этом сошедшейся.
+#
+# Хвост после номера здесь не судится намеренно: `RT-9_guest` — это промах в разделителе, а не
+# осознанно беззадачная ветка, и номер из неё вынуть надо, чтобы форму имени было с чем сверить.
+# Требование дефиса оставляло такое имя без номера, и гард пропускал его как ветку под пробу.
+rt_task_branch_number_default() {
+    printf '%s' "$1" | sed -nE 's#^([A-Za-z]+[-/])?([0-9]+).*#\2#p'
+}
+
 # Адрес боевого хранилища: образец, по которому его узнают в командной строке — порт туннеля,
 # хост, домен. Любая запись по нему отбивается совсем, и опт-аут не действует. Умолчание
 # молчит: чужой адрес здесь опаснее неназванного — он отбивал бы работу с локальной базой.
@@ -273,6 +288,16 @@ RT_TASK_BOT="${RT_TASK_BOT:-}"
 RT_PULL_TOKEN_VAR="${RT_PULL_TOKEN_VAR:-}"
 RT_PULL_TOKEN_HINT="${RT_PULL_TOKEN_HINT:-}"
 
+# Кто придёт к хостингу по этому токену. Подстановка в команде говорит только о намерении: она
+# читает файл, а файла на машине может не быть — тогда значение пустое, клиент отвечает от
+# залогиненной записи, и заявка выходит от владельца при верной с виду команде. Спросить это
+# стоит одного вызова, но как спрашивать, знает только дерево: хостинг, клиент и путь к токену
+# у каждого свои. Умолчание молчит: дерево, не объявившее функции, второго яруса не получает.
+#
+# Контракт: печатает логин, под которым уйдёт пишущий вызов. Пустой вывод означает «спросить не
+# удалось» — гард пропускает вызов и сообщает об этом.
+rt_pull_token_login() { :; }
+
 # Раздел, который тело заявки обязано нести с минуты открытия: решение о слиянии принимается на
 # её странице, где переписки нет вовсе, и сказанного вслух там не остаётся. Умолчание молчит —
 # заголовок пишется языком заявки, а чужих слов пакет не знает: не названный деревом, раздел не
@@ -384,6 +409,7 @@ rt_push_docs_only() { rt_push_docs_only_default "$@"; }
 rt_docs_pair_for() { rt_docs_pair_for_default "$@"; }
 rt_lint_for() { rt_lint_for_default "$@"; }
 rt_task_branch_ok() { rt_task_branch_ok_default "$@"; }
+rt_task_branch_number() { rt_task_branch_number_default "$@"; }
 rt_reinvented_in() { rt_reinvented_in_default "$@"; }
 rt_is_app_code() { rt_is_app_code_default "$@"; }
 # Каталог источников пакета правил в этом дереве, от корня. Пусто — дерево пакета не везёт, и

package/assets/defaults/shell.sh

@@ -41,10 +41,25 @@
 # не латиницей, записью больше не считается — в дереве таких нет ни одного, а появятся, признак
 # придётся расширить.
 rt_shell_writes_default() {
-    printf '%s' "$1" \
-        | sed -E 's#(&|[0-9]*)>>?[[:space:]]*/dev/(null|stderr)##g; s#[0-9]*>&[0-9-]##g; s#[-=]+>##g' \
+    cleaned="$(printf '%s' "$1" \
+        | sed -E 's#(&|[0-9]*)>>?[[:space:]]*/dev/(null|stderr)##g; s#[0-9]*>&[0-9-]##g; s#[-=]+>##g')"
+
+    # Интерпретатор пишет телом, а не именем файла, который запускает. Путь, стоящий у него
+    # первым доводом, — это то, что он читает: запуск проверки дерева по её пути записью не
+    # считается. Раньше проверялось само имя, и заход, запускавший проверку ради диагностики,
+    # получал требование правила общего кода, ничего в нём не правя; за две задачи таких отказов
+    # набралось около пятнадцати, и часть пришлась на команды, не писавшие ничего.
+    #
+    # Тело у интерпретатора двух видов, и оба остаются записью: документ на входе и код доводом.
+    interp='(^|[|;&(]|[[:space:]])(python3?|node|ruby|deno|bun|php|perl)'
+    if printf '%s' "$cleaned" | grep -Eq \
+        "${interp}([[:space:]][^|]*)?<<|${interp}([[:space:]]+-[^[:space:]]*)*[[:space:]]+(-e|--eval|-c|-p|--print)([[:space:]]|\$)"; then
+        return 0
+    fi
+
+    printf '%s' "$cleaned" \
         | grep -Eq \
-            '>>?[[:space:]]*[A-Za-z0-9_./~$"'"'"'-]|\btee\b|\bsed\b[^|]*-i|\bperl\b[^|]*-i|\bpython3?\b|\bnode\b|\bruby\b|\bdd\b[^|]*of=|\bcp\b|\bmv\b|\brm\b|\btouch\b|\btruncate\b|\binstall\b|\bpatch\b|\bgit[[:space:]]+(checkout|restore|apply|stash)\b'
+            '>>?[[:space:]]*[A-Za-z0-9_./~$"'"'"'-]|\btee\b|\bsed\b[^|]*-i|\bperl\b[^|]*-i|\bdd\b[^|]*of=|\bcp\b|\bmv\b|\brm\b|\btouch\b|\btruncate\b|\binstall\b|\bpatch\b|\bgit[[:space:]]+(checkout|restore|apply|stash)\b'
 }
 
 # Пути, названные командой оболочки. Печатает по одному в строке; судит их зовущий.

package/assets/hooks/browser-guard-device-id.sh

@@ -1,17 +1,26 @@
 #!/usr/bin/env bash
 # rt-hook: PreToolUse mcp__claude-in-chrome__select_browser
+# rt-hook: PostToolUse mcp__claude-in-chrome__select_browser
 # Требует: hooks/deny-tail.sh
-# Гард выбора браузера. PreToolUse на выборе браузера расширением.
+# Гард выбора браузера. Работает на двух событиях: до вызова и после него.
 #
-# Отклоняет любой профиль, кроме закреплённого: чужой стоит лишнего круга и приводит в браузер,
-# где сессий этого проекта нет вовсе.
+# До вызова запрещает любой профиль, кроме закреплённого. Чужой профиль ведёт в браузер, где нет
+# сессий этого проекта.
 #
-# На совпадении ставит метку сессии. Гард свежести читает ВОЗРАСТ этой метки — она и делает
-# законной всю дальнейшую работу с браузером.
+# После вызова ставит метку сессии, если ответ подтверждает подключение. Гард свежести читает
+# возраст этой метки и по нему разрешает дальнейшую работу с браузером.
 #
-# ОТКАЗ В ПОЛЬЗУ РАБОТЫ: помощник не назвал профиль — пропуск.
+# Почему метка ставится после вызова. Раньше она ставилась до вызова, при совпадении признака,
+# то есть на попытке выбора. Если закреплённый профиль отключён, вызов возвращает отказ, а метка
+# уже есть — и гард свежести пропускает состав вкладок, переход и снимок экрана в тот браузер,
+# который расширение считает активным. Ошибку заметил владелец, а не гард. Метка до вызова
+# подтверждает только запрос профиля, а не подключение к нему.
+#
+# При ошибке гард пропускает: помощник не назвал профиль — вызов разрешён. Ответ без признаков
+# подключения метку не ставит; работа не останавливается — следующий вызов запретит гард
+# свежести и потребует выбрать профиль заново.
 
-# Своё имя в наблюдениях: отбой пишет общий хвост отказа, а не сам гард.
+# Имя гарда для наблюдений: его пишет общий хвост отказа.
 RT_GUARD_NAME=browser-guard-device-id
 
 . "$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)/utf8.sh" 2>/dev/null || true
@@ -20,23 +29,44 @@ RT_GUARD_NAME=browser-guard-device-id
 rt_hook_read
 input="$RT_HOOK_INPUT"
 
-# Признак сессии помощнику передаётся: без него слово о ненастроенном дереве метится днём и
-# приходит один раз в сутки, а не один раз за заход.
+# Идентификатор сессии передаётся помощнику: без него сообщение о ненастроенном дереве
+# помечается датой и приходит раз в сутки, а не раз за заход.
 sid="$(printf '%s' "$input" | jq -r '.session_id // "nosession"' 2>/dev/null)"
 
 device_id="$("${CLAUDE_PROJECT_DIR:-.}/.claude/hooks/browser-device-id.sh" "$sid")"
 [ -z "$device_id" ] && exit 0
 
 requested="$(printf '%s' "$input" | jq -r '.tool_input.deviceId // empty' 2>/dev/null)"
+event="$(printf '%s' "$input" | jq -r '.hook_event_name // empty' 2>/dev/null)"
+
+if [ "$event" = "PostToolUse" ]; then
+    # Ответ вызова приводится к строке: он приходит объектом, строкой или списком блоков, и
+    # разбирать каждую форму отдельно дорого. Проверяется текст — в нём есть и признак профиля,
+    # и слово об отказе.
+    answer="$(printf '%s' "$input" | jq -r '.tool_response // empty | if type == "string" then . else tojson end' 2>/dev/null)"
+
+    # Отказ выбора: подключения не было, метка не ставится. Слова отказа перечислены на двух
+    # языках: помощник отвечает на своём, дерево выводит текст на русском.
+    case "$answer" in
+        *'"error"'* | *'"isError":true'* | *"failed"* | *"not found"* | *"not connected"* | *"не найден"* | *"отключ"*)
+            exit 0
+            ;;
+    esac
+
+    # Пустой ответ подключением не считается: по нему ничего не проверить, а метка утверждала
+    # бы, что профиль подключён.
+    [ -z "$answer" ] && exit 0
 
-if [ "$requested" = "$device_id" ]; then
     marker_dir="${TMPDIR:-/tmp}/claude-browser-guard"
     mkdir -p "$marker_dir" 2>/dev/null && : >"$marker_dir/${sid}" 2>/dev/null
     exit 0
 fi
 
-# Общий хвост отказа: два законных хода и законная форма обхода, если она у отказа есть. Файл
-# может быть не разложен — тогда хвоста нет, а причина отказа остаётся прежней.
+# До вызова проверяется только признак профиля; метка здесь не ставится.
+[ "$requested" = "$device_id" ] && exit 0
+
+# Общий хвост отказа: два допустимых шага и допустимая форма обхода, если она есть. Файл может
+# быть не разложен — тогда хвоста нет, причина отказа остаётся.
 # shellcheck disable=SC1090
 [ -f "$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)/deny-tail.sh" ] \
     && . "$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)/deny-tail.sh" 2>/dev/null

package/assets/hooks/browser-guard-no-asking.sh

@@ -12,6 +12,10 @@
 # being about which Chrome profile to automate. Anchor on selection phrasing instead
 # (deviceId, "which/what browser", "какой браузер").
 #
+# The Russian pronoun is spelled out case by case on purpose: an optional ending would leave a
+# bare "как" in the pattern, and "какие браузеры поддерживаем" — a support question, not a
+# selection one — got denied by exactly that.
+#
 # FAIL-OPEN when browser-device-id.sh prints nothing.
 
 # Своё имя в наблюдениях: отбой пишет общий хвост отказа, а не сам гард.
@@ -29,7 +33,7 @@ device_id="$("${CLAUDE_PROJECT_DIR:-.}/.claude/hooks/browser-device-id.sh" 2>/de
 questions="$(printf '%s' "$input" | jq -r '[.tool_input.questions[]? | .question, .header, (.options[]?.label)] | join(" ")' 2>/dev/null)"
 [ -z "$questions" ] && exit 0
 
-printf '%s' "$questions" | grep -qiE 'deviceid|device id|(which|what|pick|choose|select)[^.]{0,25}\bbrowser\b|\bbrowser\b[^.]{0,25}(profile|to use)|как(ой|ую)?[^.]{0,15}браузер|брауз[а-я]*[^.]{0,20}(использовать|выбрать|выбор|нужен|запустить)' || exit 0
+printf '%s' "$questions" | grep -qiE 'deviceid|device id|(which|what|pick|choose|select)[^.]{0,25}\bbrowser\b|\bbrowser\b[^.]{0,25}(profile|to use)|как(ой|ую|им|ого)[^.]{0,15}браузер|брауз[а-я]*[^.]{0,20}(использовать|выбрать|выбор|нужен|запустить)' || exit 0
 
 # Общий хвост отказа: два законных хода и законная форма обхода, если она у отказа есть. Файл
 # может быть не разложен — тогда хвоста нет, а причина отказа остаётся прежней.

package/assets/hooks/dispatch.sh

@@ -33,10 +33,10 @@ input="$(cat 2>/dev/null)"
 # Разбор один на все ветки: четыре поля одним вызовом разборщика вместо шести на каждый гард.
 # Значения приходят уже закавыченными для оболочки — `@sh` в разборщике для того и сделан:
 # командная строка держит и кавычки, и переводы строк, и подставить её иначе нельзя.
-assignments="$(printf '%s' "$input" | jq -r '@sh "RT_HOOK_TOOL=\(.tool_name // "") RT_HOOK_CMD=\(.tool_input.command // "") RT_HOOK_FILE=\(.tool_input.file_path // "") RT_HOOK_CWD=\(.cwd // "")"' 2>/dev/null)"
+assignments="$(printf '%s' "$input" | jq -r '@sh "RT_HOOK_TOOL=\(.tool_name // "") RT_HOOK_CMD=\(.tool_input.command // "") RT_HOOK_FILE=\(.tool_input.file_path // "") RT_HOOK_CWD=\(.cwd // "") RT_HOOK_SOURCE=\(.source // "")"' 2>/dev/null)"
 if [ -n "$assignments" ]; then
     eval "$assignments" 2>/dev/null || true
-    export RT_HOOK_TOOL RT_HOOK_CMD RT_HOOK_FILE RT_HOOK_CWD
+    export RT_HOOK_TOOL RT_HOOK_CMD RT_HOOK_FILE RT_HOOK_CWD RT_HOOK_SOURCE
     # Признак разбора: по нему ветки отличают готовое поле от пустой переменной, случайно
     # оказавшейся в окружении прогона. Без него пустое значение читается как «поля нет».
     export RT_HOOK_PARSED=1
@@ -58,13 +58,21 @@ for branch in $branches; do
         branch_event="${declaration%% *}"
         [ "$branch_event" = "$event" ] || continue
 
-        # Образец вызова: его нет вовсе — гард зовётся на любом; есть — сверяется с именем
-        # инструмента целиком, а не куском. Звёздочка и точка со звёздочкой значат одно: любой
-        # вызов.
+        # Образец вызова: его нет вовсе — гард зовётся на любом; есть — сверяется целиком, а
+        # не куском. Звёздочка и точка со звёздочкой значат одно: любой вызов.
+        #
+        # Предмет сверки зависит от события. У вызова инструмента это имя инструмента; у входа в
+        # сессию имени инструмента нет, и образец там называет род запуска — `startup`,
+        # `resume`, `compact`, `clear`. Сверка с пустым именем не совпадала ни разу, и через
+        # диспетчер не вызывался ни один хук входа: заход начинался без свода законов, без
+        # словаря, без состояния работы и без передачи прошлого захода — с нулевым кодом и
+        # пустым выводом.
         matcher="${declaration#"$branch_event"}"
         matcher="${matcher#"${matcher%%[![:space:]]*}"}"
+        subject="${RT_HOOK_TOOL:-}"
+        [ -z "$subject" ] && subject="${RT_HOOK_SOURCE:-}"
         if [ -n "$matcher" ] && [ "$matcher" != '*' ] && [ "$matcher" != '.*' ]; then
-            [[ "${RT_HOOK_TOOL:-}" =~ ^(${matcher})$ ]] || continue
+            [[ "$subject" =~ ^(${matcher})$ ]] || continue
         fi
 
         matched=1
@@ -77,10 +85,33 @@ EOF
     # одном файле звали бы гард дважды на один ввод, и второй вызов судил бы то же самое.
     [ "$matched" = 1 ] || continue
 
-    branch_out="$(printf '%s' "$input" | bash "$branch" 2>/dev/null)"
-    code=$?
+    # Поток ошибок ветки собирается отдельно, а не отбрасывается: на удачном ходу он шум и
+    # наружу не идёт, а на отказе он и есть причина. Гард, печатающий свой отказ туда, приходил к
+    # исполнителю строкой о сломанном файле — при целом файле и понятном тексте, которого никто
+    # не видел. За один заход так пропало два отказа подряд.
+    branch_err="$(mktemp 2>/dev/null)"
+    if [ -n "$branch_err" ]; then
+        branch_out="$(printf '%s' "$input" | bash "$branch" 2>"$branch_err")"
+        code=$?
+        said_err="$(cat "$branch_err" 2>/dev/null)"
+        rm -f "$branch_err" 2>/dev/null
+    else
+        branch_out="$(printf '%s' "$input" | bash "$branch" 2>/dev/null)"
+        code=$?
+        said_err=""
+    fi
     if [ "$code" -ne 0 ]; then
-        [ -n "$branch_out" ] && printf '%s\n' "$branch_out"
+        if [ -n "$branch_out" ]; then
+            printf '%s\n' "$branch_out"
+        elif [ -n "$said_err" ]; then
+            printf '%s\n' "$said_err"
+        else
+            # Ветка вышла ненулём и не сказала ничего ни одним потоком. Снаружи это неотличимо от
+            # отказа по делу, а починить нечего: какой файл сломан, не знает никто. Имя диспетчер
+            # поэтому называет сам, иначе о сломанной ветке не говорит ничто.
+            printf 'Гард %s вышел с кодом %s и ничего не напечатал: похоже, файл сломан.\n' \
+                "$(basename "$branch")" "$code"
+        fi
         exit "$code"
     fi
 

package/assets/hooks/docs-guard.sh

@@ -215,6 +215,16 @@ done
 if rt_needs rt_docs_pair_for docs-guard; then
     while IFS= read -r file; do
         [ -z "$file" ] && continue
+
+        # Файл, положенный раскладкой, пары не требует: автор у него в дереве-потребителе один —
+        # пакет, и документ о нём лежит там же. Иначе первая же раскладка требует обход на весь
+        # свой объём, а обход, объявленный на сотню файлов, снимает требование и с будущих правок
+        # этих файлов вручную. Признак — шапка раскладки: она стоит в каждом разложенном файле и
+        # отличает его надёжнее любого перечня путей.
+        if [ -f "$file" ] && head -12 "$file" 2>/dev/null | grep -qE 'rt-kit v[^ ]+ · [^ ]+ · [0-9a-f]+'; then
+            continue
+        fi
+
         want="$(rt_docs_pair_for "$file" 2>/dev/null)"
         [ -z "$want" ] && continue
         # Пара считается приехавшей, если хоть один файл коммита подходит под образец.

package/assets/hooks/exam-guard.sh

@@ -82,7 +82,10 @@ case "$tool" in
         ;;
     Bash | mcp__webstorm__execute_terminal_command)
         cmd="$(rt_hook_cmd)"
-        if printf '%s' "$cmd" | grep -qE 'pr[[:space:]]+ready|mr[[:space:]]+update[^|;&]*--ready'; then
+        # Снятием черновика считается вызов клиента, а не вхождение слов: команда, которая только
+        # пишет о снятии — строка в файле предложений, тело коммита, разбор происшествия, —
+        # проверялась наравне с самим снятием, и отказ приходил на попытку описать этот дефект.
+        if printf '%s' "$cmd" | grep -qE "${RT_CMD_BOUND}(gh[[:space:]]+pr[[:space:]]+ready|glab[[:space:]]+mr[[:space:]]+update[^|;&]*--ready)([[:space:]]|\$)"; then
             ready=1
         else
             # Запись файла вызовом оболочки судится наравне с правкой: закрытый честный путь при
@@ -107,7 +110,27 @@ transcript="$(printf '%s' "$input" | jq -r '.transcript_path // empty' 2>/dev/nu
     && . "$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)/deny-tail.sh" 2>/dev/null
 command -v rt_deny_tail >/dev/null 2>&1 || rt_deny_tail() { :; }
 
+# Второй выход у отказа — не требующий снимать защиту.
+#
+# Единственным выходом гард называл список выключенных ролей в настройке дерева. Среда, где
+# работает исполнитель, правку такого списка запрещает своим механизмом, о котором гард не знает:
+# одно правило говорит «выйди отсюда», второе — «этим путём нельзя», и работа стоит при зелёном
+# наборе и сказанном слове владельца.
+#
+# Обход объявляется строкой `Exam-skip: <причина>` в теле последнего коммита ветки: она остаётся
+# в истории и видна владельцу на странице заявки. Причина обязательна — подстановка вместо неё
+# обходом не считается, как и у гарда документов.
+rt_exam_declared_skip() {
+    git -C "${CLAUDE_PROJECT_DIR:-.}" log -1 --format=%B 2>/dev/null \
+        | grep -qE '^Exam-skip:[[:space:]]*[^[:space:]<]'
+}
+
 deny() {
+    if rt_exam_declared_skip; then
+        printf 'гард экзамена: обход объявлен в теле последнего коммита строкой Exam-skip. Вызов пропущен, запись осталась в истории.\n' >&2
+        exit 0
+    fi
+
     reason="$1"
     tail_text="$(rt_deny_tail "$2")"
     [ -n "$tail_text" ] && reason="$1 ${tail_text}"
@@ -136,7 +159,7 @@ verdict="$(jq -s -r '
           elif .type == "user" then
               ([ ((.message.content // []) | if type == "array" then .[] else empty end
                     | select(.type == "tool_result")
-                    | select(((.tool_use_id // "") as $i | $muted | index($i)) == null)
+                    | select((.tool_use_id // "") | if . == "" then true else ($muted | index(.)) == null end)
                     | .content | textof),
                  ((.message.content // "") | if type == "string" then . else "" end),
                  # Поле результата вызова: та же запись, другая форма. Отбрасывается, только
@@ -163,19 +186,46 @@ if [ "$ready" = "1" ]; then
     # Записи сводятся в один поток в порядке их появления: команда и ответ инструмента лежат в
     # разных полях, и индекс из одного массива в другом не значит ничего.
     after="$(jq -s -r '
-        [ .[]
-          | if .type == "assistant"
-            then ([(.message.content // [])[] | select(.type == "tool_use") | (.input.command // "")] | join("\n"))
-            elif .type == "user"
-            then ([(.message.content // []) | select(type == "array") | .[]
-                     | select(.type == "tool_result") | .content
-                     | if type == "string" then . elif type == "array"
-                       then (map(if type == "object" then (.text // "") else tostring end) | join("\n"))
-                       else tostring end] | join("\n"))
-            else "" end ] as $flow
-        | ($flow | map(test("pr[[:space:]]+create|mr[[:space:]]+create")) | index(true)) as $opened
+        def textof:
+            if type == "string" then .
+            elif type == "array" then (map(if type == "object" then (.text // "") else tostring end) | join("\n"))
+            else tostring end;
+
+        # Тот же набор форм, что у широкой выборки: вердикт приходит в той форме, какую выбрал
+        # хост, и роль, работающая фоном, отдаёт его уведомлением о завершении — записи вида
+        # «ответ инструмента» у неё нет. Раньше эта выборка читала только команды помощника и
+        # ответы инструментов, и второй экзамен в таком дереве не засчитывался: пять кругов с
+        # полным вердиктом не пропустили ни одной правки.
+        ["Bash", "Read", "Grep", "Glob", "Edit", "Write", "MultiEdit", "NotebookEdit"] as $mute
+        | [.[] | select(.type == "assistant") | (.message.content // [])[]
+             | select(.type == "tool_use") | select(.name as $n | $mute | index($n) != null) | (.id // "")] as $muted
+
+        # Запись даёт две строки: команду — по ней ищется момент открытия заявки — и вердикт,
+        # который проверяется теми же правилами, что и в широкой выборке. Порядок один и тот же,
+        # поэтому отсчёт от найденной команды остаётся верным.
+        | [ .[] | {
+              cmd: (if .type == "assistant"
+                    then ([(.message.content // [])[] | select(.type == "tool_use") | (.input.command // "")] | join("\n"))
+                    else "" end),
+              say: (if .type == "assistant" then ""
+                    elif .type == "user" then
+                        ([ ((.message.content // []) | if type == "array" then .[] else empty end
+                              | select(.type == "tool_result")
+                              | select((.tool_use_id // "") | if . == "" then true else ($muted | index(.)) == null end)
+                              | .content | textof),
+                           ((.message.content // "") | if type == "string" then . else "" end),
+                           (. as $rec
+                            | if ($rec.toolUseResult // null) == null then ""
+                              elif ([($rec.message.content // []) | if type == "array" then .[] else empty end
+                                      | select(.type == "tool_result") | (.tool_use_id // "")]
+                                    | map($muted | index(.)) | any(. != null)) then ""
+                              else ($rec.toolUseResult | textof) end)
+                         ] | join("\n"))
+                    else tostring end)
+          } ] as $flow
+        | ($flow | map(.cmd | test("pr[[:space:]]+create|mr[[:space:]]+create")) | index(true)) as $opened
         | if $opened == null then "нет-pr"
-          else ($flow[($opened + 1):] | join("\n")
+          else ($flow[($opened + 1):] | map(.say) | join("\n")
                 | [scan("ЭКЗАМЕН:[[:space:]]*сдано[[:space:]]*([0-9]+)[[:space:]]*из[[:space:]]*([0-9]+)")]
                 | if length == 0 then "нет"
                   elif (.[-1] | .[0] == .[1]) then "сдан"
@@ -185,7 +235,7 @@ if [ "$ready" = "1" ]; then
     case "$after" in
         сдан | нет-pr) exit 0 ;;
         *)
-            deny "BLOCKED by exam-guard: черновик снимается после второго экзамена, а его за эту сессию не было. Позови роль strict-teacher с правилами поставки и с тем, чего требовала задача: между чтением этих правил и снятием черновика прошёл весь заход."
+            deny "BLOCKED by exam-guard: черновик снимается после второго экзамена, а его за эту сессию не было. Позови роль strict-teacher с правилами поставки и с тем, чего требовала задача: между чтением этих правил и снятием черновика прошёл весь заход. Выход через список выключенных ролей требует снять защиту, и среда исполнения такую правку может запрещать; второй выход её не требует — объяви обход строкой «Exam-skip: причина» в теле последнего коммита ветки: она остаётся в истории и видна владельцу на странице заявки."
             ;;
     esac
 fi
@@ -193,7 +243,7 @@ fi
 case "$verdict" in
     сдан) exit 0 ;;
     провален)
-        deny "BLOCKED by exam-guard: экзамен по загруженным правилам провален. Перечитай правило целиком — не тот кусок, о котором спрашивали, — и позови роль strict-teacher снова. Показанный ответ даёт знание одной строки, а не правила."
+        deny "BLOCKED by exam-guard: экзамен по загруженным правилам провален. Перечитай правило целиком — не тот кусок, о котором спрашивали, — и позови роль strict-teacher снова. Показанный ответ даёт знание одной строки, а не правила. Выход через список выключенных ролей требует снять защиту, и среда исполнения такую правку может запрещать; второй выход её не требует — обход объявляется строкой «Exam-skip: причина» в теле последнего коммита ветки."
         ;;
     *)
         deny "BLOCKED by exam-guard: за эту сессию экзамена по загруженным правилам не было. Позови роль strict-teacher, передай ей список загруженных правил, ответь на её вопросы по памяти и верни ей ответы — вердикт она отдаёт строкой «ЭКЗАМЕН: сдано N из 5». Засчитывается он из ответа роли в любой форме, какой его доставил хост, но не из вывода оболочки и не из твоего же текста: печать этой строки эхом гард не отпускает. Роль уже звали и вердикт получен — значит, он пришёл формой, которой гард не видит: это дефект гарда, и правка `.claude/rt-kit.json` из-под него выведена. Загруженное правило и прочитанное правило — разные вещи, и цену этой разницы платит владелец."

package/assets/hooks/git-guard-delivery-draft.sh

@@ -0,0 +1,78 @@
+#!/usr/bin/env bash
+# Снятие черновика для гарда поставки: есть ли у заявки разбор, не конфликтует ли она и той ли
+# записью открыта.
+#
+# Строки `# rt-hook:` здесь нет намеренно: событие и образец вызова объявляет сам гард, а
+# помощник рядом хуком не регистрируется и в одиночку ничего не решает. Он зовётся из гарда и
+# пользуется его же переменными — командой, корнем дерева, машинной записью — и его отказом.
+#
+# Вынесен он отсюда потому, что гард дорос до предела длины: снятие черновика среди его
+# предметов самое отдельное — своя точка проверки, свой сетевой ярус, свои три отказа.
+
+. "$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)/utf8.sh" 2>/dev/null || true
+. "$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)/hook-input.sh" 2>/dev/null || true
+
+rt_delivery_draft_ready() {
+    # --- снятие черновика --------------------------------------------------------------------
+    #
+    # Ревьювера до этой правки не спрашивал никто. Он стоял прозой в правиле, а хостинг запрос
+    # разбора на самого себя принимает молча и не создаёт: разбор при этом выглядит запрошенным.
+    # Раньше снятия черновика спросить негде — до открытия заявки ревьювера нет вовсе, — а само
+    # снятие и есть тот ход, которым работа объявляется готовой.
+    #
+    # Ярус сетевой, и молчит он так же, как ярус состояния задачи: нет ответа — нет требования.
+    #
+    # Возврат заявки в черновик под требование не подпадает: он делает ровно то, чего гард и
+    # добивается, — снимает с работы вид готовой.
+    if printf '%s' "$cmd" | grep -qE "${RT_CMD_BOUND}(gh[[:space:]]+pr[[:space:]]+ready|glab[[:space:]]+mr[[:space:]]+update[^|;&]*--ready)([[:space:]]|\$)" \
+        && ! printf '%s' "$cmd" | grep -q -- '--undo'; then
+        # Ссылка на заявку необязательна: без неё клиент берёт заявку текущей ветки, и это самая
+        # короткая форма вызова. Требовать номер значило бы снимать всё требование одним пробелом.
+        # Поэтому берётся первый довод, каким бы он ни был — номер, адрес или имя ветки, — а его
+        # отсутствие означает «спроси про текущую ветку».
+        pull_ref="$(printf '%s' "$cmd" | sed -nE 's/.*(gh[[:space:]]+pr[[:space:]]+ready|glab[[:space:]]+mr[[:space:]]+update)[[:space:]]+([^[:space:];&|-][^[:space:];&|]*).*/\2/p' | head -1)"
+        if rt_needs rt_pull_state git-guard-delivery; then
+            pull="$(cd "$root" && rt_pull_state "$pull_ref" 2>/dev/null)" || pull=''
+            if [ -n "$pull" ] && printf '%s' "$pull" | jq -e '.exists' >/dev/null 2>&1; then
+                # Номер берётся из ответа, а если его там нет — из самой команды: заявка,
+                # названная адресом или именем ветки, в отказе должна остаться узнаваемой.
+                pull_name="$(printf '%s' "$pull" | jq -r '.number // empty' 2>/dev/null)"
+                # Номер пишется с решёткой, а имя ветки или адрес — в кавычках: решётка перед
+                # адресом читается как опечатка, а не как ссылка на заявку.
+                [ -z "$pull_name" ] && pull_name="$pull_ref"
+                case "$pull_name" in
+                    '') ;;
+                    *[!0-9]*) pull_name=" «${pull_name}»" ;;
+                    *) pull_name=" #${pull_name}" ;;
+                esac
+                printf '%s' "$pull" | jq -e '.reviewed' >/dev/null 2>&1 \
+                    || fault "у заявки${pull_name} нет разбора: ревьювер не запрошен и отзыва никто не оставлял. Снятый черновик читается как «можно вливать», а вливать некому — назначь ревьювера и повтори."
+
+                # Конфликт приезжает в отданную заявку чужим слиянием, без единого действия её
+                # автора: основание, проверенное на открытии, к моменту снятия черновика уже
+                # вчерашнее. Снятый черновик читается как «можно вливать», а вливать нечего —
+                # владелец открывает заявку и находит там конфликт. Молчание при неизвестной
+                # сливаемости остаётся: хостинг считает её заново после каждой правки главной ветки,
+                # и «ещё не посчитано» — не «конфликтует».
+                printf '%s' "$pull" | jq -e '.conflicting' >/dev/null 2>&1 \
+                    && fault "заявка${pull_name} конфликтует с главной веткой. Влей её в свою ветку, разбери конфликт и повтори: снятый черновик читается как «можно вливать», а слить эту заявку нельзя."
+
+                # Автор заявки. На открытии судить было нечем, кроме текста команды: личность вызова
+                # приходит окружением. Здесь она уже названа хостингом, и это последний ход, где
+                # промах ещё исправим — после снятия черновика заявку вливают, а переоткрыть влитую
+                # нельзя. Дерево, не назвавшее машинной записи, автора не судит.
+                if [ -n "$task_bot" ]; then
+                    pull_author="$(printf '%s' "$pull" | jq -r '.author // empty' 2>/dev/null)"
+                    [ -n "$pull_author" ] && [ "$pull_author" != "$task_bot" ] \
+                        && fault "заявку${pull_name} открыла запись «${pull_author}», а не машинная «${task_bot}». Автор заявки её ревьювером не бывает, и разбор ей назначить нечем. Автора не сменить — закрой заявку и открой заново${pull_token_hint:+, подставив токен: ${pull_token_hint} …}."
+                fi
+            fi
+        fi
+
+        # Папка задачи: тот же предмет, что на открытии и на слиянии, третьим рубежом. Условие
+        # местное — оно читает ветку, а не хостинг, — и потому стоит вне сетевого яруса выше.
+        command -v rt_delivery_ready_folder >/dev/null 2>&1 && rt_delivery_ready_folder
+
+        deny_faults
+    fi
+}